個人情報保護法では、取り扱う個人情報の件数が過去6ヶ月以内、5,000件以下の企業は、「個人情報取扱事業者」の対象ではありません。
だからといって、顧客情報5,000件以下の企業では、個人情報の取扱いに対する対策は行わなくてもいいのでしょうか？

個人情報取扱事業者でなくても、保有する個人情報の漏えいや紛失があれば、会社の信用を喪失し、場合によっては損害賠償を請求される恐れがあります。
また、取引先から契約上、情報セキュリティの保持を要求されることも少なくありません。
個人情報を適切に扱うようにすれば、会社の評価は高まり、ビジネスチャンスも広がる可能性もあります。
そのため、顧客情報5,000件以下の企業でも対策は、必要ということになります。

単に、5,000件という数字は、取り扱う個人情報の件数が少ない零細な会社に過大な負担をかけないように、5,000件という数字を設けているだけです。
そして、所有する顧客情報が5,000件以下であっても、従業員の情報も個人情報の対象になります。
社内で取り扱う個人情報を洗い出し、どのようなリスクがあるのか把握することが大切です。